시크릿 스캐닝
키가 어디에 있었나요?
연결한 저장소, 문서, 스토리지, 메시지를 검사합니다. GitHub pull request는 도착 시 검사할 수 있고 다른 연결 소스는 주기적으로 스캔합니다.
CREMIT / 제품
API 키와 토큰, 담당자와 처리 상태까지 관리하세요.
키가 어디에 있고, 아직 살아 있는지, 누가 처리할지 한곳에서 확인하세요. Cremit은 연결한 소스의 탐지 결과와 발급처 검증 결과를 하나의 인벤토리로 모읍니다. 기존 볼트와 팀 공유까지 함께 관리할 수 있습니다.
근거가 쌓이면서 달라지는 판단
같은 자격증명에 대해 단계마다 다른 질문에 답합니다.
- 01
발견 위치
어디에서 찾았고 그 위치가 공개돼 있었나요?
- 02
유효성
발급처 기준으로 지금도 살아 있는 키인가요?
- 03
접근 정보
확인 가능한 AWS 정책 또는 GCP API 제한이 있나요?
- 04
담당자
누가 발급처에서 키를 조치하고 이후 상태를 확인하나요?
API 키 관리에서 자주 부딪히는 세 가지 문제
발견한 위치, 보관한 곳, 실제 사용처를 함께 확인해야 다음 조치를 정할 수 있습니다.
- Slack이나 코드에 남은 키, 지우면 끝인가요?
메시지나 코드를 지워도 발급처의 키는 그대로 살아 있습니다. 발견 위치와 시점을 기록하고, 연결된 서비스를 확인하며 담당자가 키를 교체·폐기해야 합니다. Cremit은 탐지와 유효성 확인, 조사 담당자 지정까지 한 번에 처리합니다.
노출된 API 키 탐지 과정 보기- Vault에 보관하는데 스캐닝도 필요한가요?
Vault는 승인된 보관 장소지만, 작업 중 복사된 값이 코드·문서·메시지에 남기 쉽습니다. Cremit 인벤토리에서 스캔 발견 건과 시크릿 매니저 동기화 항목을 출처별로 나눠 보세요.
발견 건과 볼트 항목 구분하기- 담당자가 퇴사하면 API 키도 막히나요?
회사 계정을 비활성화해도 따로 발급한 키는 계속 살아 있을 수 있습니다. Cremit은 연결된 디렉터리에서 비활성화된 사람의 작성 자료에 남은 활성 자격증명을 찾아, 인계하거나 교체할 키를 짚어 드립니다.
퇴사자 자격증명 점검 방법
보관과 공유도 같은 관리 흐름으로
API 키와 토큰을 어디에 보관하고 누구에게 전달할지, 팀과 워크로드의 사용 방식부터 정하세요. Cremit Vault와 팀 자격증명 허브의 구성 상담에서 아래 요구 사항을 함께 확인합니다.
- 보관 위치와 이관 범위
- 기존 볼트에서 유지할 자격증명과 이관할 대상을 정합니다. 보관 위치, 접근 권한, 교체 책임자를 함께 기록하세요.
- 팀 공유와 접근 종료
- 사람이 조회할 키와 워크로드가 사용할 키를 구분합니다. 팀 이동·퇴사 시 접근을 끝내는 방법과 이미 복사된 키의 교체 절차도 확인하세요.
이미 시크릿 매니저를 쓰고 있다면
인벤토리는 연결한 시크릿 매니저의 항목을 읽기 전용으로 동기화합니다. 어떤 시크릿 매니저를 연결할지, 자체 보관·공유는 어디까지 쓸지 도입 상담에서 함께 정하세요.
실제로 쓰는 근거 소스와 연결하세요
서로 다른 연동 유형의 예시입니다. 전체 목록에서 연동별 설정 방법과 범위를 확인할 수 있습니다.
- GitHub 스캔
연결한 저장소를 스캔하고 GitHub App으로 pull request를 검사합니다.
- AWS 권한 분석
범위를 지정한 클라우드 연동으로 AWS access key의 신원과 정책 정보를 확인합니다.
- Slack 알림
설정한 탐지 결과와 인시던트 알림을 채널로 보냅니다.
- Okta 디렉터리 동기화
SCIM 계정 상태를 퇴사자 관련 검토 근거 중 하나로 사용합니다.